Worm/Sdbot.61703 - Worm

A voir aussi

Brève description

Description complète

Statistiques

Nom:	Worm/Sdbot.61703
La date de la découverte:	29/11/2006
Type:	Ver
En circulation:	Non
Infections signalées	Faible
Potentiel de distribution:	Moyen
Potentiel de destruction:	Faible
Fichier statique:	Oui
Taille du fichier:	61.703 Octets
Somme de contrôle MD5:	7cf8119e86ef39f40c178e6b908b2b0e
Version VDF:	6.36.00.147
Version IVDF:	6.36.00.164

Général Méthodes de propagation:
   • Le réseau local
   • Programme de messagerie

Les alias:
   • Kaspersky: Backdoor.Win32.SdBot.xd
   • Grisoft: IRC/BackDoor.SdBot2.KKN
   • Eset: IRC/SdBot

Plateformes / Systèmes d'exploitation:
   • Windows 96
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Arrêt les applications de sécurité
   • Il crée un fichier
   • Il diminue les réglages de sécurité
   • Il modifie des registres
   • Il emploie les vulnérabilités de software
   • Il vole de l'information
   • Il facilite l'accès non autorisé à l'ordinateur

Fichiers Il supprime sa propre copie, exécutée initialement

Le fichier suivant est créé:

– %TEMPDIR%\removeMe%chaîne de caractères aléatoire de quatre digits%.bat Ensuite, il est exécuté après avoir été completment crée. Ce fichier séquentiel est employé pour effacer un fichier.

Programme de messagerie Il se répand par l'intermédiaire du programme de messagerie. Les caractéristiques sont décrites ci-dessous:

– AIM Messenger

Infection du réseau Afin de assurer sa propagation, le malware essaye de se connecter à d'autres machines comme décrit ci-dessous.

Il s'autocopie dans les partages réseau suivants:
   • IPC$
   • C$
   • D$
   • D$\windows\system32
   • C$\windows\system32
   • c$\winnt\system32
   • ADMIN$\system32\
   • ADMIN$

Il emploie les informations d'identification suivantes afin de gagner accès à la machine distante:

–Les noms d'utilisateurs et les mots de passe en antémémoire.

– Une liste de noms d'utilisateurs et de mots de passe:
   • server; asdfgh; asdf; !@; $%^&; !@; $%^; !@; $%; !@; $; 654321;
      123456; 12345; 1234; 123; 111; root; admin; administrator

La vulnérabilité:
Il se sert des vulnérabilités suivantes:
– MS03-026 (Buffer Overrun in RPC Interface)
– MS03-039 (Buffer Overrun in RPCSS Service)
– MS03-049 (Buffer Overrun in the Workstation Service)
– MS04-007 (ASN.1 Vulnerability)
– MS04-011 (LSASS Vulnerability)
– MS05-039 (Vulnerability in Plug and Play)

La création des adresses IP:
Il crée des adresses IP aléatoires et il essaye d'établir une connexion avec elles.
Il crée des adresses IP aléatoires tandis qu'il garde le premier octet de son propre adresse. Ensuite il essaye d'établir une connexion avec les adresses créées.

Le processus d'infection:
Il crée un script FTP sur la machine compromise afin de télécharger le malware vers l'emplacement distant.

Exécution à distance:
–Il essaye de programmer une exécution à distance du malware, sur la machine nouvellement infectée. Par conséquent il emploie la fonction NetScheduleJobAdd.

IRC Afin de fournir des informations sur le système et un accès à distance, il se connecte au serveur IRC suivant:

Serveur: kirsty.4n4rchy99.**********
Port: 61521
Le mot de passe du serveur: deddyman
Canal: #q0
Pseudonyme: [P00|USA|%nombre%]

– Ce Malware a la capacité de ramasser et d'envoyer des informations tel que:
    • Vitesse du CPU
    • Utilisateur courant
    • Détails sur les pilots
    • Espace libre sur le disque dur
    • Mémoire libre
    • Le temps de fonctionnement du Malware
    • Information sur le réseau
    • Taille de mémoire
    • Information sur le système d'exploitation Windows

– Ensuite il a la capacité d'opérer des actions tel que:
    • Lancer des attaques DDoS ICMP
    • Désactiver les partages réseau
    • Télécharger un fichier
    • Activer les partages réseau
    • Joindre le canal IRC
    • Quitter la canal IRC
    • Opérer un attaque DDoS
    • Scanner le réseau
    • Envoyer des e-mails
    • Terminer un processus
    • Se mettre à jour tout seul

Arrêt de processus: La liste des services qui sont désactivés:
   • Security Center
   • Windows Firewall/ICS
   • Remote Registry
   • Telnet
   • wscsvc
   • SharedAccess
   • Messenger
   • RemoteRegistry
   • Tlntsvr

Porte dérobée Serveur de contact:
Le suivant:
• http://www.4n4rchy99.info/**********

En conséquence il peut envoyer de l'information.

Vol d'informations Il essaie de voler l'information suivante:
– Les mots de passe employés par la fonction AutoComplete
– Des informations sur le compte d'email, obtenues de la clé de registre: HKCU\Software\Microsoft\Internet Account Manager\Accounts

– Les mots de passe des programmes suivants:
   • POP3 Server
   • Hotmail
   • HTTPMail
   • Outlook Express
   • MSN
   • IE Explorer

Informations divers Anti debugging
Il vérifie si le programme suivant est en exécution:
• SoftIce

Détails de fichier Langage de programmation:
Le fichier a été écrit en MS Visual C++.

Logiciel de compression des fichiers exécutables:
Afin d'entraver la détection et de réduire la taille du fichier il est compressé avec un logiciel de compression des exécutables.

Voir la description brève ici.

Description inséré par Monica Ghitun sur Wed, 29 Nov 2006 15:54 (GMT+1)
Description mise à jour par Monica Ghitun sur Thu, 21 Dec 2006 11:59 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Retour